CVE-2022-37720
KrytyczneCVSS 9.0Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 51 - wyżej niż 51% wszystkich znanych CVE
Streszczenie
W systemie Orchard CMS 1.10.3 wykryto podatność na atak XSS. Użytkownik z niskimi uprawnieniami (autor lub wydawca) może wstrzyknąć złośliwy kod HTML i JavaScript w treść wpisu blogowego, co po załadowaniu przez administratora prowadzi do przejęcia jego konta lub eskalacji uprawnień.
Ocena ryzyka
Atakujący może przejąć pełną kontrolę nad kontem administratora, uzyskując dostęp do wszystkich funkcji systemu i danych, co stanowi poważne zagrożenie dla poufności i integralności informacji.
Rekomendacja
Należy natychmiast zaktualizować system Orchard CMS do najnowszej dostępnej wersji, która usuwa tę podatność, oraz wdrożyć mechanizmy filtrowania i kodowania danych wejściowych.
Oryginalny opis (angielski, źródło NVD)
Orchardproject Orchard CMS 1.10.3 is vulnerable to Cross Site Scripting (XSS). When a low privileged user such as an author or publisher, injects a crafted html and javascript payload in a blog post, leading to full admin account takeover or privilege escalation when the malicious blog post is loaded in the victim's browser.